Помогите, и опять всё о нём же: aadrive.exe; jodrive.exe

Ну проблема у меня такая же как у товарища что писал ранее....
Антивирусник, "теперь и нынче" ни какой не встаёт. CureIT находит, удаляет, но после перегруза ситуация повторяется... Я уже начал просто убивать в процессах всё что встречается с aadrive.exe и jodrive.exe, убиваю все папки recycled на всех дисках, в aplication data уничтожаю все файлы с расширениями tmp, в system32 (папке) стираю все экзешники типа 3.ехе; 4.exe .... 8.exe;9.exe;A.exe;B.exe и т.п. Но всё повторяется вновь! Распространяется через флешку создавая скрытые файлы autoexec.exe и какойто ещо файл в папке RECYCLED (вновь созданной) - всё конечно скрытое!
Стало постоянно надоедать то, что при запуске открывается папка "Мои Документы". Последняя фишка в сообщениях, что Explorer.exe будет закрыт так как не смог прочитать память read, правда после нажатии ОК explorer всё же запускается ( и это, тоже, при запуске системы - всё ! )

Уважаемый(ая) [B]Aleksemarko[/B], спасибо за обращение на наш форум!

Удаление вирусов - абсолютно бесплатная услуга на VirusInfo.Info. Хелперы, в самое ближайшее время, ответят на Ваш запрос.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста [URL="http://virusinfo.info/donate/"]поддержите проект[/URL].

Выполните скрипт в AVZ
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\WINDOWS\system32\bsysmgr.exe','');
QuarantineFile('c:\RECYCLER\kos-2-3-41-0000010000-0000010000-0000010000-0100\wincache.exe','');
QuarantineFile('C:\WINDOWS\aadrive32.exe','');
QuarantineFile('C:\WINDOWS\System32\netprotocol.dll','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe','');
QuarantineFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe','');
QuarantineFile('C:\Documents and Settings\Radio Silence\Application Data\Nfacap.exe','');
QuarantineFile('C:\Documents and Settings\Radio Silence\Application Data\Hdacaj.exe','');
QuarantineFile('C:\Documents and Settings\NetworkService\Application Data\Nfacap.exe','');
TerminateProcessByName('c:\windows\jodrive32.exe');
QuarantineFile('c:\windows\jodrive32.exe','');
DeleteFile('c:\windows\jodrive32.exe');
DeleteFile('C:\Documents and Settings\NetworkService\Application Data\Nfacap.exe');
DeleteFile('C:\Documents and Settings\Radio Silence\Application Data\Hdacaj.exe');
DeleteFile('C:\Documents and Settings\Radio Silence\Application Data\Nfacap.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Nfacap');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Hdacaj');
RegKeyParamDel('HKEY_USERS','S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run','Nfacap');
RegKeyParamDel('HKEY_USERS','.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run','Nfacap');
DeleteFile('C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe');
DeleteFile('C:\RECYCLER\S-1-5-21-0243936033-3052116371-381863308-1811\vsbntlo.exe');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','12CFG214-K641-12SF-N85P');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Tnaww');
DeleteFile('C:\WINDOWS\System32\netprotocol.dll');
RegKeyParamDel('HKEY_LOCAL_MACHINE','SYSTEM\CurrentControlSet\Services\Netprotocol\Parameters','ServiceDll');
DeleteFile('C:\WINDOWS\aadrive32.exe');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Driver Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','Microsoft Config Setup');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run','Microsoft Config Setup');
DeleteFile('c:\RECYCLER\kos-2-3-41-0000010000-0000010000-0000010000-0100\wincache.exe');
DeleteFile('explorer.exe,C:\RECYCLER\S-1-5-21-0243556031-888888379-781863308-1413\syitm.exe,Explorer.exe');
DeleteFile('C:\WINDOWS\system32\bsysmgr.exe');
DeleteFile('L:\autorun.inf');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
ExecuteRepair(16);
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Winlogon','Taskman');
RebootWindows(true);
end. [/code]Компьютер перезагрузится.

Пришлите карантин согласно [B]Приложения 3[/B] правил по красной ссылке [COLOR="Red"][U][B]Прислать запрошенный карантин[/B][/U][/COLOR] вверху темы

Сделайте новые логи

Сделайте лог [url="http://virusinfo.info/showpost.php?p=457118&postcount=1"]полного сканирования МВАМ[/url]

смущает строчка
DeleteFile('L:\autorun.inf');
я уж вынул давно флешку и на другом компе вылечил сразу.
не ругнётся выполняя скрипт что такого нет?

Здравствуйте.
[QUOTE='Aleksemarko;803300']не ругнётся выполняя скрипт что такого нет? [/QUOTE]
Если и ругнется - ничего страшного. Выполняйте скрипт.

всё сделал !!!
при загрузке пропал "Мой компьютер" пропала и ошибка об невозможности прочитать память Explorer.exe
только вот МВАМ чот ещо нашла, какието вирусы и их торжестаенно полезла удалять поле чего выдала лог...
в общем вот все логи:
и ещо вопрос, как выяснилось оказались удалёнными файлы из System32:
sfcfiles.dll
storprop.dll
[B][B]syssetup.dll[/B][/B]
качаю их и заменяю! Это также последствия сего вируса?
И самое главное:
СПАСИБО ВАМ ОГРОМНОЕ!!! ВЫ ДЕЛАЕТЕ НЕИМЕВЕРНЫЙ ТРУД, СПАСАЯ ЧУЖИЕ ДАННЫЕ!!!
понимаю, что "спасибом" сыт не будешь, в общем я ваш должник ( попробую завести яндекс деньги! )

1.[URL="http://virusinfo.info/showthread.php?t=4491"]Профиксите[/URL] в HijackThis
[CODE]
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxi.net
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.smaxi.net
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://webalta.ru/poisk
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.smaxi.net
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = http://webalta.ru/poisk
R3 - URLSearchHook: (no name) - - (no file)
O3 - Toolbar: QT Breadcrumbs Address Bar - {af83e43c-dd2b-4787-826b-31b17dee52ed} - mscoree.dll (file missing)
O3 - Toolbar: (no name) - {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - (no file)
[/CODE]
2. [URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]
[CODE]
begin
DeleteFileMask(GetAVZDirectory + 'Quarantine', '*.*', true);
DeleteFileMask('c:\documents and settings\networkservice\local settings\temporary internet files\Content.IE5', '*.*', true);
ExecuteWizard('TSW', 2, 2, true);
ExecuteWizard('SCU', 2, 2, true);
RebootWindows(true);
end.[/CODE]

После перезагрузки:
- Сделайте повторный лог [COLOR="Blue"] hijackthis.log[/COLOR]

вот

угу

Обновите систему
- Установите [URL="http://www.microsoft.com/rus/windows/internet-explorer/default.aspx"]Internet-Explorer 8[/URL].(даже если Вы его не используете)
- Поставте все последние обновления системы Windows - [URL="http://www.update.microsoft.com"]тут[/URL]
- поставте [URL="http://get.adobe.com/reader/otherversions/"]Adobe Reader 10[/URL] или удалите старый.

хорошо

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]1[/B][*]Обработано файлов: [B]25[/B][*]В ходе лечения обнаружены вредоносные программы:
[LIST=1][*] c:\\documents and settings\\networkservice\\application data\\nfacap.exe - [B]Backdoor.Win32.Floder.nq[/B] ( DrWEB: BackDoor.IRC.Bot.1405, BitDefender: Trojan.Generic.KDV.260358, AVAST4: Win32:Dorkbot-BH [Trj] )[*] c:\\documents and settings\\radio silence\\application data\\nfacap.exe - [B]Backdoor.Win32.Ruskill.lk[/B] ( DrWEB: Trojan.Packed.21761, BitDefender: Trojan.Generic.KDV.266660, AVAST4: Win32:MalOb-EI [Cryp] )[*] c:\\recycler\\kos-2-3-41-0000010000-0000010000-0000010000-0100\\wincache.exe - [B]Backdoor.Win32.Ruskill.lk[/B] ( DrWEB: Trojan.Packed.21761, BitDefender: Trojan.Generic.6223498, AVAST4: Win32:MalOb-EI [Cryp] )[*] c:\\windows\\jodrive32.exe - [B]Backdoor.Win32.Ruskill.lk[/B] ( DrWEB: Trojan.Packed.21761, BitDefender: Trojan.Generic.6244228, AVAST4: Win32:MalOb-EI [Cryp] )[*] c:\\windows\\system32\\bsysmgr.exe - [B]P2P-Worm.Win32.Palevo.drqu[/B] ( DrWEB: Trojan.AVKill.9382, BitDefender: Backdoor.Generic.668744, NOD32: Win32/TrojanClicker.VB.NUA trojan, AVAST4: Win32:Malware-gen )[/LIST][/LIST]